Kiedy dwa SPF warcaby pokazują różne liczby wyszukiwań, nie wybieraj bardziej uspokajającej liczby. Ustal, co zmierzyło każde narzędzie. Jeden może wyświetlać terminy zależne od DNS na ocenianej ścieżce, inny może rozwijać wykres zasad, a trzeci może wyświetlać zapytania sieciowe. Wyniki te mogą odpowiadać na różne pytania, nawet jeśli sprawdzają tę samą domenę.
Zapytaj, co oznacza licznik
RFC 7208 sekcja 4.6.4 ogranicza oceniane terminy zależne od DNS w ramach rekurencji. To nie jest po prostu liczba wszystkich ciągów TXT , każdego pakietu DNS lub liczba dołączeń zapisanych w widoczny sposób na najwyższym poziomie. Odpowiedzi w pamięci podręcznej nie zapewniają większego budżetu terminu logicznego.
Oddziel także inne ograniczenia. Specyfikacja adresuje puste wyszukiwania oraz limity specyficzne dla mechanizmu, oprócz głównego pułapu szacowanego okresu. Narzędzie może wyświetlać jedno połączone ostrzeżenie, podczas gdy inne ujawnia każdą kategorię. Zapisz dokładny tekst ostrzeżenia i dokumentację, zamiast zakładać, że każda czerwona etykieta oznacza to samo.
Daj obu narzędziom to samo mocowanie
Zapisz ocenianą domenę, adres IP połączenia, tożsamość nadawcy, HELO tam, gdzie ma to zastosowanie, widok mechanizmu rozpoznawania nazw i czas zapytania. Jeśli narzędzie akceptuje tylko domenę, dowiedz się, czy jej liczba jest oszacowaniem statycznym, analizą najgorszego przypadku, czy konkretną ścieżką syntetyczną. Skanowanie tylko domeny nie jest automatycznie równoznaczne z oceną prawdziwego połączenia.
W przypadku zasad korzystających z makr brakujące dane wejściowe dotyczące tożsamości mogą mieć bezpośrednie znaczenie. Porównaj osobno przypadki IPv4 i IPv6 , jeśli oba występują. Zachowaj odpowiedzi DNS lub powtarzalne kontrolowane urządzenie, aby późniejsza zmiana dostawcy nie zamieniła rzekomego porównania narzędzi w porównanie różnych zasad.
Przejdźmy do małego ilustrującego przykładu
Rozważ politykę syntetyczną:
v=spf1 ip4:192.0.2.10 include:_spf.vendor.example -all
Pod RFC 7208 §4.6.2 I RFC 7208 §5.6, w przypadku 192.0.2.10 jawny adres może zostać dopasowany przed oceną dołączenia. W przypadku innego adresu ocena może dotrzeć do elementu include i jego zagnieżdżonych zależności. Narzędzie do rozwijania wykresów może wyświetlić tę gałąź nawet wtedy, gdy ścieżka pierwszej wiadomości nigdy do niej nie dociera. Różne liczby wymagają wyjaśnienia, a nie automatycznego orzeczenia, że któreś z narzędzi jest wadliwe.
Ustaw cel dołączania jawnie, aby porównać liczby liczbowe. W tym syntetycznym urządzeniu, _spf.vendor.example ma dokładnie jeden SPF Rekord TXT, v=spf1 ip4:192.0.2.20 -all. Załóżmy, że pobranie DNS zakończyło się pomyślnie, poprawna składnia, brak dodatkowych zależności i zwyczajność POCZTA OD ocena dla domeny nadrzędnej.
- Wejście 192.0.2.10 : pasuje pierwszy mechanizm IP4 rodzica. Rzeczywista ścieżka ocenia 0 terminów zależnych od DNS i nigdy nie odwiedza elementu include.
- Wprowadź 192.0.2.20 : IP4 rodzica nie pasuje. Dołączenie jest oceniane, jego docelowe IP4 pasuje, a zwrot nadrzędny przechodzi. Rzeczywista ścieżka ocenia 1 termin zależny od DNS, include.
- Wprowadź 192.0.2.30 : cel dołączenia osiąga -all i zwraca błąd, więc dołączenie nie pasuje. Rodzic osiąga swoje własne -all i powroty kończą się niepowodzeniem. Rzeczywista ścieżka nadal ocenia 1 termin zależny od DNS, zgodnie z RFC 7208 §5.2.
Statyczny wykres liczby terminów zależnych od DNS wynosi 1 dla całego urządzenia, niezależnie od tego, które połączenie zostało wybrane. Wymagane jest początkowe pobranie TXT polisy nadrzędnej, ale samo w sobie nie jest to jeden z ocenianych warunków wliczanych do tego limitu. W ten sposób można wyjaśnić wyświetlanie 0 dla pierwszego wejścia i 1 dla rozwiniętego wykresu. Są to oczekiwane wyniki analityczne, a nie wykonane pomiary lub liczba pakietów sieciowych.
Teraz wyobraź sobie, że zawarte zasady zmieniają się pomiędzy dwoma skanami. Świeże skanowanie może legalnie ujawnić inne drzewo zależności. Zapisz znaczniki czasu i rzeczywiste odpowiedzi przed eskalacją sporu. Zrzut ekranu bez danych wejściowych jest słabym dowodem.
Porównaj ślady przy pierwszej rozbieżności
Utwórz obok siebie listę ocenianych terminów. Znajdź pierwsze miejsce, w którym narzędzia się nie zgadzają: wybór rekordu, wczesne dopasowanie, rekurencja, błąd DNS , rozwinięcie makra lub konwencja zliczania. Sprawdź, czy jeden zatrzymuje się przy błędzie, podczas gdy drugi kontynuuje w celach diagnostycznych. Rozszerzenie diagnostyczne może być przydatne bez przedstawiania prawidłowej, zakończonej oceny.
Jeśli narzędzie wydaje się sprzeczne z normą, utwórz minimalne syntetyczne mocowanie i oczekiwane zachowanie z odniesieniem do sekcji. Wyślij to do konserwatora narzędzi w ramach normalnego procesu wsparcia, unikając poufnych danych produkcyjnych, w przypadku których wystarczy osprzęt. Nie zmieniaj produkcji tylko po to, aby niespójne pulpity nawigacyjne zgadzały się.
Podejmij decyzję na podstawie rozstrzygniętych dowodów
Prawidłowa krótka ścieżka dla jednego nadawcy nie określa kondycji każdego nadawcy. Przetestuj reprezentatywne prawidłowe dane wejściowe i niedopasowane dane wejściowe oraz sprawdź zależności, które mogą się później zmienić. I odwrotnie, duży wykres statyczny sam w sobie nie jest dowodem na to, że każda wiadomość przekracza limit oszacowanego terminu.
Zapisz, który pomiar potwierdza Twoją decyzję, wszelkie nierozwiązane ograniczenia narzędzia i oczekiwany wpływ proponowanej zmiany. Używać zamawianie mechanizmu dopiero po zrozumieniu tych ścieżek. Jeśli nie możesz pogodzić wynikających z tego rozbieżności, zachowaj aktualne dowody i poproś o przegląd dotyczący konkretnego wdrożenia, zamiast przedstawiać niewyjaśnione liczby jako pewność.
Złóż decyzję na piśmie
Dla danego urządzenia z dwoma rekordami zachowaj tekst nadrzędny i podrzędny, adres wejściowy, definicję licznika i oczekiwany wynik pozytywny/negatywny. Wartości 0/1/1 to analityczne liczniki ocenianych terminów, a nie mierzone pakiety DNS lub niezależne wykonanie narzędzia. Jeśli narzędzie zgłasza inną ilość, oznacz ją przed porównaniem. Rozbieżność w ścieżce obsługi błędów wymaga własnego ustalenia, a nie ekstrapolacji z tych pomyślnych wyszukiwań.